SÉCURISEZ VOS APIS .NET AVEC HMAC : GUIDE D'IMPLÉMENTATION
L’authentification HMAC offre une méthode rapide et légère pour garantir l’authenticité et l’intégrité des requêtes HTTP entre services. Dans le contexte des micro‑services .NET, elle permet d’éviter les jetons lourds tout en restant totalement stateless. Cet article décrit les concepts clés et montre comment la mettre en place dans une API minimaliste ASP.NET Core.

Principe de l’authentification HMAC
HMAC combine une fonction de hachage (souvent SHA‑256) avec une clé secrète partagée entre le client et le serveur. Le client crée une signature à partir du verbe HTTP, du chemin, d’un horodatage et du corps de la requête, puis l’ajoute dans l’en‑tête `X‑Signature`. Le serveur recompute la signature avec la même clé et compare les deux valeurs à l’aide de `CryptographicOperations.FixedTimeEquals`. Si les signatures correspondent et que le timestamp est récent, la requête est considérée comme autorisée. Cette approche assure à la fois authenticité et intégrité sans stocker de session.

Mise en œuvre avec un middleware
Dans ASP.NET Core, on peut encapsuler la logique HMAC dans un middleware personnalisé. Le code extrait les en‑têtes `X‑Api-Key`, `X‑Timestamp` et `X‑Signature`, lit le corps de la requête (en réinitialisant le flux grâce à `EnableBuffering`), puis construit la chaîne de signature. La classe d’aide `HmacDemoHelper` utilise la classe HMACSHA256 pour générer le hachage. En cas d’échec, le middleware renvoie un statut 401. Cette solution s’avère idéale lorsqu’il n’existe pas d’identité d’appelant à valider, comme pour les webhooks ou les pipelines complexes.

Quand privilégier HMAC vs. JWT ou OAuth
HMAC est recommandé pour les communications internes à haute performance, où la latence doit être minimale et le réseau est de confiance. Il ne chiffre pas les données en transit ; il faut donc combiner HMAC avec HTTPS. Pour les appels externes ou les scénarios nécessitant une gestion fine des permissions, OAuth ou les JSON Web Tokens restent plus appropriés.

En résumé, HMAC fournit une couche d’authentification légère adaptée aux architectures micro‑services, tout en restant simple à intégrer via un middleware ASP.NET Core. Avec les bons contrôles de temps et le chiffrement TLS, il constitue une base solide pour sécuriser vos APIs.

---

Source : InfoWorld​